Sichere Datenumgebungen in Google Cloud

Last reviewed 2026-04-16 UTC

In diesem Dokument wird eine allgemeine Architektur für die Sicherung großer Datasets mit sensiblen Daten, einschließlich personenidentifizierbarer Informationen (PII), in Google Cloudbeschrieben. Die Architektur ist darauf ausgelegt, sensible Daten vor versehentlicher Offenlegung und böswilliger Exfiltration zu schützen. Es richtet sich an Data Compliance Officers und Cloud Security Engineers, die mit grundlegenden Cloud-Netzwerk- und Identitätskonzepten vertraut sind. Die Architektur unterstreicht die Verwendung von Netzwerkperimeter, die permissive IAM-Einstellungen (Identity and Access Management) explizit überschreiben, um unbefugten öffentlichen Zugriff zu verhindern, auch wenn Ressourcen falsch konfiguriert sind.

Im Abschnitt Bereitstellung dieses Dokuments finden Sie ein Beispiel für Terraform-Code, mit dem Sie diesen Perimeter selbst bereitstellen und eine Blockierung des öffentlichen Zugriffs simulieren können.

Architektur

Das folgende Architekturdiagramm veranschaulicht eine robuste, mehrschichtige Datenschutzstrategie für Google Cloud. Es wird effektiv gezeigt, wie Daten von einem unstrukturierten Zustand in eine sichere, verwaltete Umgebung verschoben werden.

Cloud KMS Autokey und Sensitive Data Protection tragen dazu bei, Daten in BigQuery und Cloud Storage zu schützen.

Das obige Diagramm zeigt, wie jeder Google-Dienst für die Sicherheit der Daten sorgt, vom ersten Daten-Upload bis zum Datenzugriff:

  1. Ein Nutzer mit den entsprechenden IAM-Berechtigungen lädt Daten in den Datenspeicherdienst von BigQuery oder Cloud Storage hoch. Die Speicherdienste sind für die Verwendung von kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) und Cloud KMS Autokey konfiguriert.
  2. Der Dienst verschlüsselt die Daten mit einem CMEK, der aus Cloud KMS Autokey abgerufen wird.
  3. Sensitive Data Protection prüft, klassifiziert und de‑identifiziert sensible Daten im Repository fortlaufend. Zum De-Identifizieren sensibler Daten werden diese durch Sensitive Data Protection mithilfe von Vorlagen und Optionen maskiert, die Sie konfigurieren.
  4. Die Speicherdienste befinden sich innerhalb eines VPC Service Controls-Perimeters, der den Datenzugriff von außerhalb des Perimeters blockiert. Wenn Sie bestimmten Nutzern und Systemen (IAM-Principals) Zugriffsberechtigungen erteilen möchten, verwenden Sie eine Zugriffsebene-Vorlage von Access Context Manager. Die zugewiesenen Hauptkonten können dann auf Daten innerhalb des Perimeters zugreifen.
  5. VPC Service Controls verweigert den Zugriff für alle, die nicht in der Zugriffsebenenvorlage angegeben sind.

Verwendete Produkte

  • VPC Service Controls: Eine verwaltete Netzwerkfunktion, die das Risiko einer Daten-Exfiltration für Ihre Google Cloud Ressourcen minimiert.
  • Sensitive Data Protection: Ein vollständig verwalteter Dienst, mit dem Sie wertvolle Datenbestände, einschließlich personenidentifizierbarer Informationen, ermitteln, klassifizieren und schützen können.
  • Cloud Key Management Service (Cloud KMS): Ein Dienst, mit dem Sie kryptografische Schlüssel erstellen, importieren und verwalten sowie kryptografische Vorgänge in einem zentralen Cloud-Dienst ausführen können.
  • Access Context Manager: Ein Dienst, mit dem Sie differenzierte, attributbasierte Zugriffssteuerungsrichtlinien für Ihre Projekte und Ressourcen in Google Clouddefinieren können.
  • BigQuery: Ein Data Warehouse für Unternehmen, mit dem Sie Ihre Daten mit integrierten Features wie maschinellem Lernen, raumbezogenen Analysen und Business Intelligence verwalten und analysieren können.
  • Cloud Storage: Ein kostengünstiger, unbegrenzter Objektspeicher für verschiedene Datentypen. Auf Daten kann von innerhalb und außerhalb von Google Cloudzugegriffen werden. Sie werden zu Redundanzzwecken über Standorte hinweg repliziert.

Anwendungsfälle

Diese Architektur bietet ein robustes Sicherheitsframework für den Umgang mit sensiblen Daten in Google Cloud. Dabei geht es vor allem um Datenschutz, Zugriffssteuerung und die Verhinderung von Daten-Exfiltration. Die Architektur trägt dazu bei, eine sichere Umgebung für vertrauliche Daten zu schaffen, indem sie eine starke Verschlüsselung mit automatisierter Datenanonymisierung und Kontrollen des Netzwerkperimeters kombiniert. Diese Implementierung trägt dazu bei, dass Daten mit vom Kunden verwalteten Schlüsseln (CMEKs) verschlüsselt werden, dass vertrauliche Informationen automatisch erkannt und maskiert werden und dass der Zugriff streng eingeschränkt und kontextbezogen verwaltet wird. Diese Maßnahmen tragen dazu bei, das Risiko der Daten-Exfiltration deutlich zu verringern.

Im Folgenden finden Sie Beispiele für Anwendungsfälle für die in diesem Dokument beschriebene Architektur:

  • Regulierte Branchen (Finanzwesen, Gesundheitswesen, öffentlicher Sektor): Stark regulierte Branchen benötigen Sicherheitsframeworks, die zur Einhaltung von Compliance- und Datensicherheitsanforderungen beitragen. Um die Compliance zu erreichen und sensible Kundendaten zu schützen, ist es entscheidend, dass Daten im Ruhezustand gesichert werden, sensible Daten erkannt werden und Zugriffssteuerungen vorhanden sind. Wir empfehlen regulierten Branchen, dieses Design zu implementieren, um die Daten-Compliance zu erreichen.
  • Nicht regulierte Branchen: Branchen, die keinen Datenvorschriften unterliegen, können von der Implementierung eines robusten Sicherheitsframeworks profitieren. Es ist wichtig, dass sensible Daten nicht offengelegt werden, Daten sicher gespeichert werden und Richtlinien vorhanden sind, die den Zugriff auf Daten steuern. Die in diesem Dokument beschriebene Architektur kann einer nicht regulierten Branche helfen, dasselbe Sicherheitsniveau wie eine stark regulierte Branche zu erreichen. Wir empfehlen, dass nicht regulierte Branchen dieses Design als Best Practice implementieren.

Designaspekte

  • Um Log-Verstöße zu analysieren und versehentliche Sperrungen von Produktionsarbeitslasten zu verhindern, sollten Sie VPC Service Controls immer zuerst im Probelaufmodus implementieren.
  • Damit vertrauenswürdige Unternehmensnetzwerke und administrative Geräte mit geschützten Ressourcen interagieren können, müssen Sie präzise Access Context Manager-Richtlinien und ‑Ebenen definieren.

  • Wenn Sie schnell und kostengünstig ermitteln möchten, wo sich sensible Daten möglicherweise befinden, führen Sie Sensitive Data Protection mit aktivierter Stichprobenerhebung für große Datasets aus. Weitere Informationen finden Sie in den folgenden Ressourcen:

    Um einen umfassenden Schutz für diese Datasets zu gewährleisten, sollten Sie nach der Stichprobenprüfung der Daten einen umfassenden Scan durchführen. Weitere Informationen finden Sie unter Übersicht über die Erkennung sensibler Daten.

  • Damit die automatische Verschlüsselung erzwungen wird, sollten Sie Cloud KMS Autokey auf Ordner- oder Projektebene aktivieren, bevor Sie Ressourcen erstellen.

Bereitstellung

Wenn Sie eine Beispielimplementierung dieser Architektur bereitstellen möchten, verwenden Sie das Codebeispiel für Datensicherheit, das auf GitHub verfügbar ist.

Nächste Schritte

Beitragende

Autor*innen:

Weitere Beitragende: